ルックアップを使用してテーブル データをクエリする

このクエリは、ルックアップ テーブルに含まれるホスト名をクエリすることで、ホストの長いリストのハードコーディングを回避します。

FROM Log
SELECT count(*)
WHERE hostname IN (FROM lookup(myHosts) SELECT uniques(myHost))

JOINクエリを使用すると、データを理解しやすくなります。 たとえば、カスタムイベント タイプのこのクエリは、 storeNamesテーブルを使用して、店舗名と総売上高を表示します。

FROM StoreEvent
JOIN (FROM lookup(storeNames) SELECT store_ID as storeId, storeName AS name LIMIT 10000) ON shopId = storeId
SELECT shopId, storeName, totalSales

クエリ制限のセクションで説明したように、ルックアップテーブルは他の NRQL データ型よりも高い制限をサポートしているため、これにより 10,000 という制限が可能になります。

このクエリは、ルックアップ テーブル データのJOIN句を使用して、 shopId値をより広範なstoreCategory値にマップします。これにより、これらのより広範なカテゴリに基づいてStoreEventレコードに対して集計を実行し、データから新しい分析情報を抽出できるようになります。

FROM StoreEvent
JOIN (FROM lookup(storeCategories) SELECT store_ID as storeId, storeCategory) ON shopId = storeId
SELECT sum(totalSales) FACET storeCategory

以下は、ステータス コードを読み取り可能なステータスの概要に変換するクエリです。

FROM Transaction
  JOIN (FROM lookup(statusCodeTable) SELECT status_code, status_summary, status_definition)
  ON http.statusCode=status_code
SELECT count(*) FACET status_summary

結果の例をいくつか示します。

このクエリは、複数の NRQL 機能が連携してログ データのクエリからビジネス情報を取得する方法を示しています。以下のクエリ:

1. aparse()を使用してログ メッセージからアイテムに関する情報を抽出します。

2. ルックアップ テーブル データでJOINを使用して、わかりやすい項目名を取得します

3. アイテム名とアイテムの格納数のテーブルを出力します

   WITH aparse(message, 'POST to carts: * body: {"itemId":"*","unitPrice":*}%') AS (URL, ItemID, Price)
   FROM Log
     JOIN (FROM lookup(itemNames) SELECT ItemID, itemName) ON ItemID
   SELECT count(*) FACET itemName
   WHERE message LIKE 'POST to carts%'
   SINCE 30 days ago

   コピー

   結果の例をいくつか示します。

   

このクエリはルックアップと GeoIP を 組み合わせて、最も失敗したステータスを持つ場所を見つけます。

FROM Log
  JOIN (FROM lookup(statusCodeTable) SELECT status_code, status_summary, status_definition)
  ON CacheResponseStatus=status_code
SELECT count(*) WHERE ClientIP.countryName IS NOT NULL AND status_summary != 'Success'
FACET ClientIP.countryName, status_summary, CacheResponseStatus
SINCE 1 day ago LIMIT MAX

結果の例をいくつか示します。